Los parches de Adobe explotaron el día cero que duró meses
Adobe solucionó una vulnerabilidad de ejecución de código arbitrario en las últimas versiones de Acrobat y Reader para Windows y macOS, casi cuatro meses después de que un atacante aparentemente comenzara a explotarla.
La vulnerabilidad de alta gravedad, asignada como CVE-2026-34621, tiene un cvss Calificación de 8,6 y se debe a una combinación de validación de entrada incorrecta y manejo inseguro de los atributos del objeto. Al error se le asignó originalmente una puntuación CVSS de 9,6, pero Adobe la revisó más tarde.
La carga útil sofisticada se eliminó debido a errores de Adobe
El investigador de seguridad independiente Haifei Li, fundador y desarrollador del sistema de detección de exploits EXPMON, la vulnerabilidad descubierta mientras analizaba un archivo PDF creado con fines malintencionados que alguien subió de forma anónima a la plataforma el 26 de marzo. El análisis de Li del archivo reveló que se trataba de un «exploit de PDF sofisticado» para una falla de día cero en Adobe Acrobat y Reader que no se había solucionado en ese momento.
Su investigación inicial reveló que el archivo PDF malicioso en realidad había pasado desapercibido en la plataforma pública de intercambio de amenazas. VirusTotal desde el 23 de marzo, y sólo cinco de 64 herramientas de seguridad lo marcaron como sospechoso. Más tarde descubrió que alguien había subido otra versión del malware a VirusTotal ya el 28 de noviembre de 2025, lo que sugiere que los ataques a la vulnerabilidad habían estado en marcha al menos desde ese momento.
Li descubrió que un atacante podría activar CVE-2026-34621 simplemente haciendo que un usuario abriera el archivo PDF sin necesidad de clics ni permisos adicionales. Una vez activado, el archivo PDF trampa captura silenciosamente huellas dactilares en los sistemas de las víctimas antes de decidir si vale la pena realizar otro ataque.
«El ejemplo actúa como el primer exploit con la capacidad de recopilar y compartir varios tipos de información, seguido potencialmente por los exploits de ejecución remota de código (RCE) y Sandbox Escape (SBX)», escribió Li recientemente en su blog. «Explota una vulnerabilidad de día cero/sin parchear en Adobe Reader que le permite ejecutar API privilegiadas de Acrobat y se ha confirmado que funciona con la última versión de Adobe Reader».
Adobe ha reconocido el problema en un aviso del 11 de abril, confirmando que el error había sido explotado en la naturaleza. La compañía lanzó versiones actualizadas del software afectado e instó a las empresas a actualizarlas, citando una actividad de explotación continua dirigida a la vulnerabilidad.
«La explotación de este problema requiere la interacción del usuario exigiendo a la víctima que abra un archivo malicioso», dijo. CVE-2026-34621Descripción en la base de datos nacional de vulnerabilidades (NVD) del NIST.
iluminación secreta
El malware muy ofuscado Según Li, el código oculto en el archivo PDF se ejecuta inmediatamente cuando la víctima abre el archivo. Utilizando un mecanismo API de Adobe Reader, primero recopila información detallada sobre el entorno de la víctima, incluidos detalles del sistema operativo, versiones de software, configuraciones de idioma y rutas de archivos. En lugar de entregar inmediatamente una carga útil completa, el malware explora el sistema, recopila información silenciosamente y la envía de regreso a la infraestructura controlada por el atacante para su análisis.
El malware no sólo permite el reconocimiento, sino que también puede acceder y extraer datos confidenciales de los sistemas comprometidos. Usando el mismo mecanismo subyacente, puede leer archivos directamente desde la computadora local que pueden contener documentos confidenciales, datos del sistema u otra información confidencial, y transferir todo lo que recopila a un servidor de comando y control remoto (C2). Esto brinda a los atacantes una descripción general completa del entorno de la víctima, así como acceso directo a los archivos almacenados en su computadora.
Durante las pruebas, Li no pudo recuperar un exploit de seguimiento que el atacante pudo haber desarrollado para su uso en sistemas relevantes. Sin embargo, sus pruebas del código de ataque mostraron que el mecanismo de entrega de carga útil secundaria funcionó correctamente, lo que significa que el atacante podría atacar una versión afectada de Adobe Reader con ataques adicionales. Ejecución remota de código (RCE) o exploits Sandbox Escape (SBX).
«Este exploit no sólo permite al actor de la amenaza recopilar/robar información local, sino que también puede lanzar ataques RCE/SBX posteriores que podrían llevar al control total del sistema de la víctima», escribió.
como adobe, Malwarebytes recomendados que las organizaciones actualicen a la versión recién parcheada lo más rápido posible. Si no puede o no quiere hacer esto por algún motivo, debe tener «mucho cuidado» al manipular archivos PDF o archivos adjuntos inesperados de fuentes desconocidas, aconseja Malwarebytes. Las organizaciones también deben monitorear todo el tráfico HTTP/HTTPS para buscar la cadena «Adobe Synchronizer» en el campo «Agente de usuario», dijo el proveedor de seguridad.
Adobe Acrobat y Reader son objetivos frecuentes para atacantes debido a su amplia base instalada y profunda integración con características a nivel del sistema operativo. Los actores de amenazas han estado utilizando archivos PDF como medida de seguridad durante años Mecanismo de ataqueincluidas campañas patrocinadas por el estado, operaciones de ransomware, phishing dirigido y otras actividades maliciosas. Estos ataques han puesto de relieve durante mucho tiempo la necesidad de que las organizaciones den prioridad a la corrección oportuna de las vulnerabilidades en los productos de Adobe y supervisen las amenazas basadas en archivos en general.
Hemos recibido este contenido de ciberseguridad de: DarkReading
Puedes encontrar la noticia original en el enlace que se encuentra a continuación: https://www.darkreading.com/application-security/adobe-patches-actively-exploited-zero-day
